技术早报 · 2026 年 11 月 6 日（周五）
每天 5 分钟，跟上技术圈。
📰 头条
1. Thinking Machines 发布 Inkling 2 Small：594B 参数，权重下周才开源
Mira Murati 创办的 Thinking Machines Lab 11 月 6 日发布第二代模型 Inkling 2 Small：5940 亿总参数的 MoE 架构，每 token 激活 170 亿参数，支持图像输入。Artificial Analysis 智能指数给出 31 分，是该实验室迄今最好成绩；按 Artificial Analysis 的说法，权重落地后它将成为中国以外得分最高的开放权重模型。需要注意的是“开放”目前只是承诺：首发仅能在公司自家的 Tinker 平台上微调与推理（输入 1.00/百万 token），权重仍是闭源状态，计划在外部安全测试与红队评估完成后、下周以 Apache 2.0 协议放出。实验室自己也在模型卡里坦承了短板：输出啰嗦、在众多工具间选错工具的情况不少、拒绝率偏高。分数都出自官方与第三方评测机构，真实任务表现仍待权重放出后验证。
·
2. Kakao 发布 Kanana-2-v-decide：给 Agent 做判断的专用小模型
Kakao 11 月 6 日在 Hugging Face 发布多模态决策模型 Kanana-2-v-decide，基于自家 Kanana-2-v-3b 构建，定位是让 AI Agent 在执行任务时快速做判断。按官方说法，在单张英伟达 H200 上平均响应时间不到 0.04 秒。模型采用 Kanana Open License，允许商业与研究用途。Kakao 计划先用于内部项目，如网页搜索与商品类目自动分类，再根据实际服务表现打磨。同一天 Salesforce 也推了同类产品（见下条）——“决策”这个环节正从通用大模型里拆出来，变成独立的小模型赛道。
·
3. Salesforce 推出 Koa Decisions：能看图、能听音的决策模型
Salesforce 11 月 6 日推出 Koa Decisions，一个基于谷歌开源权重 Gemma 构建的决策模型，接受文本、图像与音频输入。它读入一条请求和用户自定义的分类列表，一步给出分类、是否判断或打分，定位是 Agentforce 的请求路由，未来会扩展到 Salesforce 工作流与开发者工具。官方研究预印本称，在生产意图路由基准上准确率 85.5%、响应约半秒，中位速度比同等条件下测试的前沿模型快约 7.5 倍；其前身 HyperClassifier 已在 Agentforce 内实际跑着，路由响应约 26 毫秒，而通用前沿模型约 1446 毫秒。非 Salesforce 客户注册免费 Trailhead 账号后也可试用演示。数字均为官方自述，生产环境的真实表现以实测为准。
·
4. 英伟达放出四个 Cosmos 3 开放权重模型：给自动驾驶与机器人造“世界”
英伟达 11 月 5 日在 Hugging Face 发布 Cosmos 3 家族的四个后训练检查点，均为 Cosmos 3 Nano 的变体、各 160 亿可训练参数，采用 OpenMDW1.1 协议、允许商业与非商业使用。四个模型分工明确：Transfer-Auto 批量生成多视角驾驶数据（最多 11 路摄像头画面 + 同步 LiDAR，可调天气、光照与时段）；Sim-Auto 流式生成驾驶过程中的摄像头与 LiDAR 观测；Sim-Transfer 把物理模拟器的控制信号与文本提示转成照片级视频；Sim-Bimanual 根据机器人或摄像头动作预测下一帧画面，面向双臂操作任务。这是英伟达“物理 AI”工具箱的又一次扩容——世界模型从“生成一段视频”走向“能随动作实时响应的交互式仿真”。
💻 GitHub 本周趋势
11 月 6 日的榜单上，Agent 工具链仍是主角：
- NVIDIA/auto-ontology：给 AI Agent 正确理解数据的图本体层，当日新增约 2.7K 星，连续多日居榜首。
- mattpocock/skills：作者 .agents 文件夹里的小型可组合 Agent skills，当日新增约 2.1K 星。
- D4Vinci/Scrapling：从一次请求到完整爬取的网页抓取框架，当日新增约 1.7K 星。
- garrytan/gstack：一套开箱即用的 Claude Code 工程团队配置，当日新增约 612 星。
- microsoft/VibeVoice：微软的开源语音 AI 模型家族，含长音频转写的 VibeVoice-ASR 与实时语音模型。
- vercel-labs/agent-desktop：给 Agent 用的计算机操作 CLI，本周持续在榜。
- google/skills：面向谷歌产品与谷歌云的 Agent skills。
- floci-io/floci：无需账号的免费本地 AWS 模拟器。
🔒 安全速览
- SSHole 漏洞披露数小时内即遭实战利用：11 月 6 日，威胁情报公司 Previdian 报告，OpenSSH 认证绕过漏洞 CVE-2026-123158（CVSS 8.1，代号 SSHole）披露不到 9 小时就出现首轮利用尝试，攻击者已在一台运行 Alpine Linux 与 OpenSSH 的蜜罐上拿到 root。遥测显示共 8 次尝试，源 IP 位于日本（89.116.89.18），手法是用超长密码绕过认证后执行
id、uname、hostname等侦察命令。影响范围是 musl C 库且不走 PAM 的系统（默认配置的 Alpine Linux）；修复版本为 OpenSSH 10.6p2，升级后需重启 sshd。还没打补丁的 Alpine 主机与容器镜像应立即处理。 - LXD / Incus 爆出 CVSS 9.9 严重漏洞 CVE-2026-48752：11 月 6 日公开的符号链接穿越漏洞（CWE-59），有镜像导入权限的认证用户可读写宿主机任意文件，已有公开 PoC。Canonical LXD 与 Linux Containers Incus 均受影响，请按官方公告升级。
- SonicWall SSLVPN 漏洞 CVE-2026-19868 列入 CISA KEV：11 月 6 日，CISA 将该漏洞加入已知被利用漏洞目录，确认野外已有利用，联邦机构修复截止 2026 年 11 月 20 日。该漏洞允许持有其他认证方式有效凭证的用户绕过 SAML 认证控制。
- Chainalysis 遭攻击、全部用户凭证泄露：区块链分析公司 Chainalysis 11 月 6 日披露，针对其系统的 Agent 式网络攻击导致全部用户的姓名、用户名、密码哈希与有效令牌泄露，公司已撤销对 Reactor 与 Data Solutions 的访问。受影响用户应立即轮换凭证与令牌。
- Barracuda 邮件安全网关可被无登录提权至 root：安全公司 watchTowr 11 月 6 日公开了攻击链：授权绕过漏洞 CVE-2026-116606 与另一漏洞串联后，无需登录即可在网关上以 root 执行命令。厂商已于本周一发布补丁，尚未升级的设备应尽快打补丁。
本栏目由定时任务自动生成，内容来自公开资讯聚合，链接为原文出处。